Microsoft odkládá Exchange SE CU1 na neurčito. Správci mají dál instalovat měsíční záplaty

Microsoft odložil první kumulativní aktualizaci pro Exchange Server Subscription Edition (SE) na neurčito. CU1 se původně očekávala v první polovině roku 2026, později byla přesunuta na druhou polovinu roku. Nyní Microsoft žádný termín neuvádí. Důvodem je větší než očekávané množství práce spojené s bezpečnostními nálezy, které pomáhá odhalovat automatizované a AI nástroje. Každý nález je přitom nutné ověřit, reprodukovat, opravit, otestovat a prověřit, zda oprava nezpůsobí další problémy.

Pro správce Exchange z toho plyne jednoduchý závěr: na CU1 nečekat s řešením bezpečnostních rizik. Měsíční Exchange SE Security Updates je třeba dál instalovat a CU1 naplánovat samostatně až ve chvíli, kdy Microsoft oznámí stabilní vydání.

Proč se CU1 zpozdila

Nástroje využívající umělou inteligenci dokážou generovat kandidáty na bezpečnostní chyby rychleji, než je vývojové týmy stíhají prověřovat. Nahlášený problém může být skutečnou zranitelností, falešně pozitivním nálezem nebo chybou, kterou je obtížné spolehlivě zopakovat.

Pokud se problém potvrdí, musí vývojáři navrhnout a implementovat opravu, otestovat ji v různých částech rozsáhlého kódu Exchange a ověřit, že nenaruší spolehlivost, kompatibilitu nebo jiné funkce. Microsoft uvádí, že jeho týmy současně prověřují nahlášené problémy, reprodukují je, opravují, testují opravy a kontrolují regresní chyby, přičemž dál připravují pravidelná měsíční vydání.

CU1 proto není jen balíček již hotových změn. Vydat ji podle původního plánu by mohlo znamenat vynechat nově potvrzené zranitelnosti, uspěchat opravy bez dostatečného regresního testování nebo dodat aktualizaci, která by následně způsobovala provozní potíže. Microsoft se rozhodl termín posunout a CU1 vydat až ve chvíli, kdy bude sestavení dostatečně stabilní a zároveň nastane měsíc bez naléhavé bezpečnostní nálože.

Jak se plán vydání změnil

Harmonogram se posouval postupně:

• Microsoft původně hovořil o vydání CU1 v první polovině kalendářního roku 2026.
• Později byl termín změněn na druhou polovinu roku 2026.
• Nyní Microsoft žádný cílový termín neuvádí a potvrzuje, že vývoj CU1 pokračuje.

Tým Exchange mezitím do interního sestavení CU1 pravidelně zapracovává měsíční bezpečnostní opravy. Výsledná kumulativní aktualizace tak má zahrnout práci dokončenou během odkladu; nejde o přerušení bezpečnostní údržby Exchange.

Bezpečnostní aktualizace vycházejí dál

Odklad CU1 neznamená, že zákazníci s Exchange SE zůstali bez bezpečnostních oprav. Microsoft vydal aktualizace Exchange SE v červnu, červenci a srpnu 2026.

Květen byl výjimkou: Microsoft tehdy oznámil, že pro žádnou podporovanou variantu Exchange nevydá pravidelný Security Update. Po zveřejnění zranitelnosti CVE-2026-42897 ale vydal pokyny a informace k mitigaci. V červencové aktualizaci následně uvedl, že po její instalaci lze doporučené zmírňující opatření odstranit.

Srpen přinesl také opravu zranitelnosti CVE-2026-65813, která umožňovala zvýšení oprávnění a týkala se mimo jiné Exchange Server Subscription Edition.

Co mají správci udělat nyní

Instalujte každý měsíční Exchange SE Security Update

CU1 není bezpečnostní termín, na který lze čekat. Microsoft organizacím používajícím Exchange SE doporučuje, aby zůstaly aktuální i během pokračujícího vývoje CU1.

Dodržujte běžný proces řízení změn: pokud je to možné, otestujte aktualizaci v reprezentativním neprodukčním prostředí, posuďte naléhavost podle vystavení systému a rizika, nasaďte odpovídající balíček Exchange Security Update a ověřte, že instalace proběhla úspěšně.

U srpnové aktualizace Microsoft zároveň zdůraznil, že správci mají ověřovat konkrétní sestavení bezpečnostní aktualizace a nespoléhat pouze na základní verzi kumulativní aktualizace zobrazovanou nástroji Exchange.

Plánujte CU1 jako samostatnou změnu

Měsíční Security Update je především pravidelný provozní bezpečnostní zásah. CU1 by měla být naplánována jako širší změna platformy, která může vyžadovat testování kompatibility, ověření podnikových aplikací, přípravu záloh a návratového scénáře i důkladnější regresní testy.

Toto rozlišení pomáhá předejít časté chybě v plánování: považovat CU1 za náhradu pravidelného patchování. Měsíční aktualizace snižují aktuální bezpečnostní riziko, zatímco CU1 má po vydání sloučit nashromážděnou práci a přinést první nové funkce v rámci Exchange Server SE.

Co případ ukazuje o AI a vývoji softwaru

Odklad Exchange CU1 názorně ukazuje napětí v moderním vývoji softwaru. AI nástroje mohou zvýšit počet odhalených potenciálních zranitelností, samotné odhalení je však teprve začátek. Lidé musí určit, zda je nález skutečný, umět problém zopakovat, připravit bezpečnou opravu a prokázat, že oprava nerozbije okolní funkce.

Z hlediska bezpečnosti jde o pozitivní problém: více odhalených chyb může znamenat lepší ochranu ještě předtím, než je zneužijí útočníci. Zároveň to ale vytváří tlak na třídění nálezů, opravy, kontrolu kvality, testování, vydávání aktualizací a komunikaci se zákazníky.

Předplatitelský model softwaru vytváří očekávání pravidelných a předvídatelných dodávek. Bezpečnostní práce se však řídí nálezy, které se do kalendáře nemusí vejít. Pro zákazníky Exchange SE proto dává smysl dvoukolejný přístup: každý měsíc záplatovat kvůli ochraně a CU1 plánovat zvlášť kvůli životnímu cyklu a konsolidaci platformy. Absence termínu CU1 mění plánování nasazení, nikoli potřebu udržovat Exchange SE aktuální.